Un equipo de la Universidad de Shandong y el Laboratorio Quan Cheng ha desarrollado TrojPix, un nuevo ataque de canal encubierto electromagnético. Esta técnica permite robar datos sensibles de computadoras air-gapped (aisladas de la red) a distancias de hasta 208 metros, incluso atravesando paredes de hormigón, explotando únicamente los píxeles mostrados en la pantalla de la víctima.

Un nuevo ataque de canal encubierto electromagnético (EM), denominado TrojPix, puede robar datos sensibles de ordenadores air-gapped (aislados físicamente) ya comprometidos a distancias de hasta 208 metros, incluso a través de paredes de hormigón, explotando únicamente los píxeles que se muestran en la pantalla de la víctima.

La técnica fue desarrollada por un equipo de la Universidad de Shandong y el Laboratorio Quan Cheng, y está programada para ser presentada en el 35º Simposio de Seguridad de USENIX.

Esto supone un salto significativo respecto a los canales encubiertos EM anteriores, logrando un rendimiento máximo de 8,1 Mbps, lo que supone una mejora de aproximadamente 27 veces respecto al estado anterior de la técnica, permaneciendo completamente invisible al ojo humano.

Ataque TrojPix

Los sistemas air-gapped están físicamente aislados de las redes externas y se despliegan ampliamente en instalaciones militares, gubernamentales, financieras y nucleares donde la confidencialidad es primordial. TrojPix vence este aislamiento convirtiendo los cables de vídeo digitales ordinarios en antenas de radio no intencionadas.

El ataque se basa en la Señalización Diferencial de Transición Minimizada (TMDS), el esquema de codificación utilizado por HDMI e interfaces similares. Al realizar modificaciones diminutas e imperceptibles en los valores de los píxeles, por ejemplo, alterando el bit menos significativo del canal azul, el malware puede cambiar de forma determinista las emisiones EM que irradian del cable de vídeo. Esas emisiones sutiles codifican datos que un atacante puede capturar remotamente con equipos de radio comerciales.

Fundamentalmente, el malware no requiere privilegios de administrador ni modificaciones de hardware y se ejecuta enteramente en modo usuario. Escanea el objetivo en busca de archivos confidenciales, lee la resolución del monitor y reproduce un "vídeo de ataque" visualmente camuflado para establecer el canal encubierto.

TrojPix es un canal de exfiltración de datos, no un método de intrusión. El ataque solo funciona si el malware ya se está ejecutando en el ordenador aislado, y TrojPix no hace nada para lograr ese acceso inicial.

Llegar a una máquina físicamente aislada sigue siendo la parte realmente difícil, y seguiría requiriendo una ruta de infección air-gap tradicional, como una unidad USB infectada, un ataque a la cadena de suministro, firmware comprometido o un infiltrado malintencionado.

En otras palabras, la cifra de 208 metros no es el rango desde el cual un atacante entra en el sistema; es la distancia desde la cual pueden recibir silenciosamente los datos robados una vez que el sistema ha sido comprometido por otros medios.

Lo que hace notable a TrojPix es lo eficiente e indetectable que hace ese salto final de robo de datos: rápido, de largo alcance, invisible en pantalla y requiriendo solo acceso en modo usuario de bajos privilegios. El equipo de radio del atacante se encuentra totalmente fuera del objetivo y nunca lo toca físicamente.

Modos de Ataque de TrojPix

Los investigadores demostraron dos modos de funcionamiento. En el Modo de Pantalla Apagada Falsa, el malware disfraza la pantalla como si estuviera apagada mientras la transmisión continúa en segundo plano, deteniéndose instantáneamente si se detecta movimiento del ratón.

En el Modo de Incrustación en Primer Plano, los datos encubiertos se entrelazan con cualquier contenido que esté actualmente en pantalla mediante ajustes a nivel de píxel que los observadores no podrían percibir.

Para sobrevivir al ruido y a las interferencias a largas distancias, TrojPix combina el Mapeo de Píxel a Muestra (P2S-Map), correlación de filtro adaptado para la sincronización, codificación de resiliencia entre filas y un umbral de decisión adaptativo. En el extremo receptor, el equipo utilizó una radio definida por software USRP X310 combinada con una antena direccional y un amplificador de bajo ruido.

Evaluado en nueve marcas de monitores y quince cables de vídeo, TrojPix ofreció una tasa de bits correctos cercana al 99%, elevándose al 100% una vez aplicada la corrección de errores hacia adelante.

El rendimiento se mantuvo a través de una pared de hormigón de 30 cm, en diferentes resoluciones y ángulos de antena, e incluso con monitores activos funcionando cerca. Un estudio perceptivo con 50 voluntarios descubrió que ninguno pudo detectar ninguna diferencia visual antes y después de que se ejecutara el ataque.

Los investigadores describen varias contramedidas. El blindaje EM basado en el principio de la jaula de Faraday puede degradar parcialmente el canal, pero las pruebas mostraron que las tasas de éxito se mantenían por encima del 91% incluso con materiales de blindaje añadidos, lo que significa que no puede bloquear completamente el ataque. Desplegar equipos de interferencia EM es otra opción, aunque costosa.

La mitigación más efectiva, concluyen los autores, es adoptar interfaces de vídeo sin fugas de EM, como las conexiones de fibra óptica o inalámbricas. Las defensas de software, como aleatorizar el orden de transmisión TMDS y suavizar los valores de los píxeles, también pueden reducir la fuga.

El equipo ha comenzado la divulgación responsable con los fabricantes de cables y ha omitido deliberadamente los detalles operativos del ataque para limitar su mal uso.